О проекте

Что это?

Репозиторий, содержащий некоторые из моих частных Yara-правил.

Зачем?

Чтобы внести вклад в сообщество.

Можно ли использовать эти правила?

Конечно! Именно поэтому я создал этот репозиторий.

Вы можете использовать их в своих системах обнаружения. Например, CAPE sandbox, MalwareBazaar, UnPac.me и VirusTotal (необходимо войти в систему, регистрация бесплатна) и другие используют эти правила. Кроме того, правила могут работать нативно с AssemblyLine благодаря принятию стандарта Yara-правил CCCS.

Все правила имеют уровень TLP:CLEAR, поэтому вы можете свободно использовать и распространять их. Пожалуйста, сохраняйте раздел meta.

Помогите! Общее правило срабатывает на моём ПО!

Если одно из правил в разделе правил generic срабатывает на вашем ПО: это не ложное срабатывание. Это просто объективный факт, что, например, ваше ПО было скомпилировано или упаковано с помощью AutoIT. Это также не означает, что ваше ПО является вредоносным.

Представленные здесь Yara-правила не влияют на результаты обнаружения антивирусами каким-либо образом. Если ваше ПО обнаруживается антивирусной или анти-вредоносной компанией, вам необходимо связаться с ними напрямую.

Обратите внимание, что в разделе meta также упоминается category = "INFO", в этом случае правило является чисто общим или информационным.

Действия

В этом репозитории Github запущены два рабочих процесса:

• YARA-CI: запускается автоматически для обнаружения ошибок сигнатур, а также ложных срабатываний и пропусков (false negatives).
• Package Yara rules: позволяет скачать полный файл правил (все Yara-правила из этого репозитория в одном файле) для удобства — вкладка Actions > выберите последний запуск рабочего процесса > Artifacts. Прокрутите вниз, и вы сможете скачать его, но вы должны быть авторизованы в Github:

Какая минимальная версия Yara нужна?

Минимально необходима v3.3.0, так как некоторые правила могут требовать определённый модуль. Обратите внимание, что рекомендуется всегда использовать последнюю версию Yara, доступную здесь. Yara 4.5.5, вероятно, последний выпуск, который будет доступен, работает без проблем.

Работают ли правила с YARA-X?

Yara-X, переписанный на Rust вариант Yara, без труда запускает правила из этого репозитория. На момент написания YARA-X v1.x и выше отлично работает с представленными здесь правилами.

Обратная связь?

Если вы заметили проблему или улучшение в одном из правил, не стесняйтесь отправить PR или открыть Issue.

Дополнительно

Что такое Yara?

Из официального Github-репозитория, https://github.com/VirusTotal/yara:

YARA — это инструмент, предназначенный (но не ограничиваясь этим) для помощи исследователям вредоносного ПО в идентификации и классификации образцов вредоносных программ.

Дополнительная информация: https://yara.readthedocs.io/en/stable/index.html

Что такое TLP?

Протокол светофора (Traffic Light Protocol, TLP) был создан для облегчения более широкого обмена информацией.

Правила в этом репозитории имеют уровень TLP:CLEAR (TLP:CLEAR ранее был известен как TLP:WHITE).

Получатели могут распространять эту информацию без ограничений. Информация подлежит стандартным правилам авторского права.

Дополнительная информация: https://www.us-cert.gov/tlp

Где можно найти другие Yara-правила с открытым исходным кодом?

InQuest создал Github-репозиторий, содержащий курируемый список Yara-правил: https://github.com/InQuest/awesome-yara.